Agenti AI aziendali: arrivano control plane, algebra dei permessi e identità

L'ultimo tassello dell'infrastruttura per agenti aziendali è arrivato il 30 settembre. In quella data la OpenClaw Foundation ha pubblicato OpenClaw Enterprise (OCE), un control plane open source e indipendente dai vendor per agenti persistenti. Il progetto dichiara di essere sviluppato in modo trasparente in vista della release 1.0 prevista per la fine dell'anno. Attualmente è possibile ospitarlo in autonomia tramite docker-compose o Kubernetes.

OCE è nato all'interno di OpenAI e poi donato alla OpenClaw Foundation, dove ora viene sviluppato insieme a Red Hat e NVIDIA, come riportato nel post sul blog del progetto. Lo stesso post afferma che OCE è in fase di pilotaggio interno presso Red Hat e OpenAI. OpenAI sta già utilizzando agenti OpenClaw con accesso completo a codebase e plugin, aggiunge il post. Un dettaglio che mostra quanto l'azienda si sia allontanata dal considerare gli agenti una semplice demo.

Il blocco è la governance, non le capacità

L'inquadramento di quel post merita un'attenta lettura. OpenClaw ammette che, quasi un anno dopo il lancio, "la distribuzione reale degli agenti persistenti resta limitata" e che, nella maggior parte delle organizzazioni, l'IT per impostazione predefinita vieta del tutto le piattaforme agentiche. L'obiettivo dichiarato di OCE è rispondere a una domanda precisa: come distribuire agenti capaci in un ambiente sensibile senza privarli delle funzionalità che li rendevano utili. La risposta proposta include multi-tenancy, confini di sicurezza rigidi tra carichi di lavoro fidati e non fidati, sandboxing, revisioni basate su LLM, permessi granulari e auditabilità lungo l'intero ciclo di vita dell'agente. È un elenco lungo, e ogni voce implica un proprio costo operativo.

Gartner avanza un argomento correlato, ma più diretto. In una ricerca ripresa da The Register il 30 settembre, la società di consulenza prevede che entro il 2028 il 70 percento delle imprese abbandonerà i sistemi di AI agentica costruiti con l'assistenza di un vendor, poiché i costi aumentano e i clienti faticano a modificare la tecnologia senza aiuto esterno. Il bersaglio di Gartner è ciò che definisce forward-deployed engineering, ovvero quando un vendor inserisce ingegneri presso il cliente per costruire e distribuire software su misura. Secondo questa tesi, i progressi rapidi delle fasi iniziali possono lasciare il cliente dipendente da competenze esterne costose.

"Gli incarichi FDE meglio definiti hanno linee guida chiare su governance, consegna del valore di business, proprietà intellettuale, co-titolarità del progetto, trasferimento di conoscenze e strategia di uscita fin dal primo giorno", ha dichiarato Mukul Saha, senior director analyst di Gartner, secondo The Register.

Gartner prevede inoltre che, fino al 2028, meno del 20 percento di questi incarichi trasformerà le richieste ricorrenti dei clienti in funzionalità del prodotto core del vendor. Mette in guardia dal "FDE washing", fenomeno in cui una normale consulenza viene marketingizzata come qualcosa di più specializzato. The Register osserva che non è il primo avvertimento del genere da parte di Gartner. Previsioni precedenti riguardavano progetti di AI generativa che superavano i budget e il 40 percento delle distribuzioni di agenti AI ridimensionate o dismesse a causa di problemi di governance.

Altri due tentativi di rendere gli agenti responsabili

Sempre il 30 settembre, un progetto chiamato OpenAPPA ha pubblicato guardrail deterministici che si inseriscono tra un agente e i suoi strumenti. Rispondono a una domanda prima di ogni azione: questo dato può essere inviato a questa destinazione? Il repository GitHub lo descrive come basato su APPA, un'Agentic Permissions Policy Algebra. APPA traccia la sensibilità e il livello di fiducia di tutto ciò che un agente legge e verifica ogni chiamata a uno strumento rispetto a quel registro prima dell'esecuzione. La tesi è che classificatori e rilevatori di PII sono probabilistici, mentre questo controllo è deterministico e restituisce la stessa decisione a ogni esecuzione.

I numeri di benchmark del progetto, pubblicati sul repository, affermano che nessun attacco valutato ha avuto successo contro OpenAPPA in 1.320 valutazioni, mentre il sistema completava l'88-90 percento dei compiti. La stessa tabella colloca Microsoft FIDES al 41 percento di completamento con il 31 percento di attacchi riusciti, e la modalità automatica di Claude Code al 90 percento di completamento con 10 attacchi riusciti su due suite. Si tratta di cifre pubblicate dal vendor sui propri benchmark. Il repository precisa che il lavoro è un'anteprima e una RFC, con configurazioni e interfacce di rete che potrebbero cambiare senza shim. Il paper alla base è stato accettato al NeurIPS 2026 Workshop on Agents in the Wild.

Un terzo progetto, UAI, è apparso lo stesso giorno con un protocollo aperto per identità, autorizzazione e responsabilità verificabile in modo indipendente degli agenti. Divide il problema in quattro artefatti. Un UAI-ID per identificare l'agente. Una credenziale che lo lega a un proprietario. Un passaporto per un'autorizzazione limitata nel tempo e nella giurisdizione. E attestazioni di azione firmate che registrano ciò che l'agente ha effettivamente fatto. Il README è prudente su ciò che questo sistema non fa. "UAI non sostiene che un agente AI sia sicuro", si legge, ma solo che le azioni diventano attribuibili e verificabili. Il design evita deliberatamente un'unica autorità globale, puntando invece su registri federati. Il verificatore nel browser è pensato per convalidare le prove localmente, anziché chiedere al registro se le proprie prove sono valide.

Il mercato corre più veloce dei controlli

Gli agenti rivolti ai consumatori viaggiano già a un ritmo diverso. DoorDash ha annunciato il 30 settembre un agente text-to-order che permette agli utenti di ordinare tramite Apple Messages, gestendo richieste come "ordina il solito" e ordini di gruppo con preferenze alimentari miste, secondo TechCrunch. L'azienda apre una lista d'attesa negli Stati Uniti e ha dichiarato separatamente che inizierà a testare droni per le consegne con alcuni ristoranti nel Nord della California. DoorDash posiziona l'agente contro Uber Eats e Grubhub.

Muse di Meta, annunciato all'inizio di settembre, è l'altra grande spinta dal consumer all'enterprise. Il blog di Tailscale del 30 settembre offre lo sguardo più concreto su come un agente del genere venga confinato. Muse gira in una macchina virtuale Linux isolata per impostazione predefinita dai dati dell'utente e dai servizi esterni, con connettori per calendario, contatti, dispositivi smart home, Gmail, Outlook, Spotify e le app di Meta. L'integrazione di Tailscale rende Muse un nodo sulla tailnet dell'utente, dove valgono le solite concessioni, i tag e i controlli di accesso. Tailscale segnala anche il rischio evidente: il prompt injection passerà comunque, e collegare un agente che può vedere servizi self-hosted e usare SSH solleva questioni a cui gli utenti dovrebbero rispondere in modo consapevole.

Sempre il 30 settembre è arrivato su GitHub Magnitude, un motore di inferenza self-hosted. Dichiara prestazioni fino a 2 volte più veloci di llama.cpp, con il 92 percento in più di velocità di decodifica su Metal e il 19 percento su CUDA, e il 27 percento in meno di memoria per agente. Un tool chiamato git-dedup, pubblicato lo stesso giorno, dichiara checkout di grandi dimensioni 6 volte più veloci e una riduzione del 70 percento dello spazio di archiviazione Git, da 35,5 GB a 11,1 GB su 117 checkout, pensato espressamente per flotte di agenti di programmazione. DevNavigator ha riferito del State of agent skills report di Vercel del 25 settembre, secondo cui skills.sh ha superato un milione di voci e quasi 280.000.000 di installazioni registrate in sette mesi. Si osserva che queste cifre descrivono l'attività del registro, non un valore di business dimostrato.

Il filo conduttore non è spettacolare. Il fronte delle capacità è affollato e si muove ogni settimana. Il fronte della contabilità, ovvero chi possiede l'agente, cosa può toccare e chi può dimostrare cosa ha fatto, è dove stanno arrivando i lavori più recenti. Se uno di questi tre protocolli verrà adottato è una domanda diversa. Due sono anteprime, uno è un primo pilotaggio di un singolo vendor, e la previsione di Gartner dà alle imprese tempo fino al 2028 per decidere.